26 октября 2026 года Apple выпустила iOS 18.7.11 и iPadOS 18.7.11 — обновление безопасности для устаревших моделей iPhone и iPad, которое портирует исправление уязвимости CVE-2026-86950 в компоненте CoreGraphics. Эта уязвимость, по данным Apple, могла использоваться в «крайне изощрённых атаках» против конкретных лиц. Владельцам iPhone XS, XS Max, XR и ряда моделей iPad следует установить обновление немедленно — патч закрывает брешь, через которую обработка специально сформированного файла приводит к выполнению произвольного кода.
Техническая суть уязвимости
CVE-2026-86950 классифицируется как out-of-bounds write (запись за пределами буфера, CWE-787 по данным NVD). Уязвимость затрагивает подсистему CoreGraphics — фреймворк, отвечающий за обработку графических данных во всех операционных системах Apple. При открытии специально подготовленного файла атакующий получает возможность выполнить произвольный код на устройстве жертвы.
Оценка серьёзности по CVSS 3.1 составляет 8.8 (High). Важное уточнение: этот балл присвоен CISA-ADP, а не NVD — собственная оценка NVD на момент публикации ещё не предоставлена. Вектор атаки — сетевой, с низкой сложностью эксплуатации и без необходимости привилегий, но требующий взаимодействия пользователя (открытие файла).
Первоначально Apple устранила эту уязвимость 28 сентября 2026 года в iOS 26.7.1 и iPadOS 26.7.1, macOS Tahoe 26.7.1 и macOS Sequoia 15.8.1. Однако эти обновления покрывали только устройства, поддерживающие актуальные ветки ОС. Теперь исправление распространено на устаревшую ветку 18.x, что закрывает разрыв для владельцев более старых моделей.
Какие устройства затронуты
Обновление iOS 18.7.11 и iPadOS 18.7.11 предназначено для:
- iPhone XS, iPhone XS Max, iPhone XR
- iPad 7-го поколения
- iPad Air 4-го поколения и новее
- iPad 9-го поколения и новее
- iPad mini 6-го поколения и новее
Владельцы более новых устройств, поддерживающих iOS 27, должны использовать ветку 27.2, которая вышла одновременно и содержит исправления сотен уязвимостей.
Эксплуатация и контекст угрозы
Apple сообщает, что CVE-2026-86950 «могла использоваться в крайне изощрённой атаке против конкретных целевых лиц на версиях iOS до iOS 27». Формулировка осторожная — компания говорит о возможной эксплуатации, а не подтверждённой. Независимого подтверждения этих атак от сторонних исследователей или правительственных агентств обнаружено не было. Атрибуция — кто стоит за атаками и кто стал жертвой — не раскрывается.
Мы уже писали об этой уязвимости при выходе первоначального патча в сентябре, а также разбирали публичный PoC-эксплойт и вопрос о возможных векторах доставки. Нынешний бэкпорт — логическое продолжение этой истории: Apple закрывает окно уязвимости для устройств, которые остались без защиты после сентябрьского обновления.
Дополнительные исправления в iOS 18.7.11
Помимо CVE-2026-86950, обновление устраняет ещё две уязвимости:
- CVE-2026-65339 (Audio) — логическая ошибка, позволяющая приложению получить доступ к конфиденциальной информации пользователя.
- CVE-2026-86990 (CoreMedia) — уязвимость доступа, через которую вредоносное приложение может активировать камеру без разрешения пользователя.
Отдельного внимания заслуживает CVE-2026-86987 в компоненте Apple Intelligence, исправленная в iOS 27.2 и iPadOS 27.2. Это ошибка авторизации, позволяющая удалённому атакующему получить доступ к конфиденциальным данным. Уязвимость затрагивает только устройства с поддержкой Apple Intelligence (iPhone 15 Pro и новее), поэтому в ветку 18.x она не включена.
Рекомендации
Приоритет обновления — высокий. Конкретные действия зависят от модели устройства:
- iPhone XS/XR, iPad 7-го поколения и другие устройства из списка выше — установите iOS/iPadOS 18.7.11 через «Настройки → Основные → Обновление ПО».
- Устройства с поддержкой iOS 27 — обновитесь до iOS/iPadOS 27.2.
- Mac — убедитесь, что установлены macOS Tahoe 26.7.1 или macOS Sequoia 15.8.1 (или более новые версии).
Учитывая, что уязвимость CVE-2026-86950 эксплуатируется через обработку файлов, до установки обновления избегайте открытия вложений и документов из непроверенных источников — особенно графических файлов, полученных через мессенджеры или электронную почту.
Бэкпорт патча на устаревшую ветку iOS 18.x — нетипичный шаг для Apple, подчёркивающий серьёзность угрозы. Владельцам затронутых устройств не стоит откладывать установку: уязвимость уже использовалась в реальных атаках, публичный PoC существует, а обновление доступно прямо сейчас.
